Autenticación de aplicaciones Python en servicios de Azure durante el desarrollo local mediante entidades de servicio

1. En el portal de Azure, use la barra de búsqueda para ir a la página Registros de aplicaciones.

2. En la página Registros de aplicaciones, seleccione + Nuevo registro.

3. En la página Registrar una aplicación :

   • En el campo Nombre , escriba un valor descriptivo que incluya el nombre de la aplicación y el entorno de destino.
   • Para los tipos de cuenta admitidos, seleccione Solo cuentas en este directorio organizativo (Solo cliente de Microsoft dirigido - locatario único) o la opción que mejor se adapte a sus requisitos.

4. Seleccione Registrar para registrar la aplicación y crear la entidad de servicio.

   Una captura de pantalla que muestra cómo registrar una aplicación en el portal de Azure.

5. En la página Registro de aplicaciones de la aplicación, copie el identificador de aplicación (cliente) y el identificador de directorio (inquilino) y péguelos en una ubicación temporal para usarlos posteriormente en las configuraciones de código de la aplicación.

6. Seleccione Agregar un certificado o un secreto para configurar las credenciales de la aplicación.

7. En la página Certificados y secretos , seleccione + Nuevo secreto de cliente.

8. En el panel flotante Agregar un secreto de cliente que aparece:

   • En Descripción, escriba un valor de Current.
   • Para el valor Expira, deje el valor recomendado predeterminado de 180 días.
   • Seleccione Agregar para agregar el secreto.

9. En la página Certificados y secretos , copie la propiedad Value del secreto de cliente para su uso en un paso futuro.

   Nota:

   El valor del secreto de cliente solo se muestra una vez después de crear el registro de la aplicación. Puede agregar más secretos de cliente sin invalidar este secreto de cliente, pero no hay ninguna manera de volver a mostrar este valor.

Los comandos de CLI de Azure se pueden ejecutar en el Azure Cloud Shell o en una estación de trabajo con el CLI de Azure instalado.

1. Use el comando az ad sp create-for-rbac para crear un nuevo registro de aplicaciones y una entidad de servicio para la aplicación.

   az ad sp create-for-rbac --name <service-principal-name>
   

   La salida de este comando es similar a la siguiente JSON:

   {
     "appId": "00000000-0000-0000-0000-000000000000",
     "displayName": "<service-principal-name>",
     "password": "abcdefghijklmnopqrstuvwxyz",
     "tenant": "11111111-1111-1111-1111-111111111111"
   }
   

2. Copie esta salida en un archivo temporal en un editor de texto, ya que necesitará estos valores en un paso futuro.

   Nota:

   El valor del secreto de cliente solo se muestra una vez después de crear el registro de la aplicación. Puede agregar más secretos de cliente sin invalidar este secreto de cliente, pero no hay ninguna manera de volver a mostrar este valor.

1. Vaya a la página de información general Microsoft Entra ID en el portal de Azure.

2. Seleccione Todos los grupos en el menú de la izquierda.

3. En la página Grupos , seleccione Nuevo grupo.

4. En la página Nuevo grupo , rellene los siguientes campos de formulario:

   • Tipo de grupo: seleccione Seguridad.
   • Nombre del grupo: escriba un nombre para el grupo que incluya una referencia al nombre de la aplicación o del entorno.
   • Descripción del grupo: escriba una descripción que explique el propósito del grupo.

   Captura de pantalla que muestra cómo crear un grupo en el portal de Azure.

5. Seleccione el vínculo Sin miembros seleccionados en Miembros para agregar miembros al grupo.

6. En el panel flotante que se abre, busque la entidad de servicio que creó anteriormente y selecciónela en los resultados filtrados. Elija el botón Seleccionar situado en la parte inferior del panel para confirmar la selección.

7. Seleccione Crear en la parte inferior de la página Nuevo grupo para crear el grupo y volver a la página Todos los grupos . Si no ve el nuevo grupo en la lista, espere un momento y actualice la página.

1. Use el comando az ad group create para crear grupos en Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Los parámetros y son obligatorios. El nombre asignado al grupo debe basarse en el nombre y el entorno de la aplicación para indicar el propósito del grupo.

2. Para agregar miembros al grupo, necesitará el id. de objeto de la entidad de servicio de la aplicación, que es diferente al id. de la aplicación. Use el comando az ad sp list para enumerar las entidades de servicio disponibles:

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   El parámetro acepta filtros de estilo OData y se puede usar para filtrar la lista como se muestra. El parámetro limita la salida solo a las columnas de interés.

3. Use el comando az ad group member add para agregar miembros al grupo:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

1. En el portal de Azure, vaya a la página Overview del grupo de recursos que contiene la aplicación.

2. Seleccione Control de acceso (IAM) en el panel de navegación izquierdo.

3. En la página Control de acceso (IAM), seleccione + Agregar y, a continuación, elija Agregar asignación de roles en el menú desplegable. La página Agregar asignación de roles proporciona varias pestañas para configurar y asignar roles.

4. En la pestaña Rol , use el cuadro de búsqueda para buscar el rol que desea asignar. Seleccione el rol y, a continuación, elija Siguiente.

5. En la pestaña Miembros :

   • En Asignar acceso al valor, seleccione Usuario, grupo o entidad de servicio .
   • Para el valor Miembros , elija + Seleccionar miembros para abrir el panel flotante Seleccionar miembros .
   • Busque el grupo de Microsoft Entra que creó anteriormente y selecciónelo en los resultados filtrados. Elija Seleccionar para seleccionar el grupo y cerrar el panel flotante.
   • Seleccione Revisar y asignar en la parte inferior de la pestaña Miembros .

   captura de pantalla que muestra cómo asignar un rol al grupo de Microsoft Entra.

6. En la pestaña Revisar y asignar , seleccione Revisar y asignar en la parte inferior de la página.

1. Utiliza el comando az role definition list para obtener los nombres de los roles a los que se puede asignar un grupo o un principal de servicio de Microsoft Entra.

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use el comando az role assignment create para asignar un rol al grupo de Microsoft Entra que creó:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para obtener información sobre cómo asignar permisos en el nivel de recurso o suscripción mediante el CLI de Azure, consulte Assign Azure roles mediante el CLI de Azure.

Dado que la mayoría de los desarrolladores trabajan en varias aplicaciones, se recomienda usar un paquete como python-dotenv para acceder a variables de entorno desde un archivo almacenado en el directorio de la aplicación durante el desarrollo. Este enfoque limita las variables de entorno para que solo esta aplicación pueda usarlas.

El archivo .env nunca se comprueba en el control de código fuente, ya que contiene la clave secreta de aplicación para Azure. El archivo estándar .gitignore para Python excluye automáticamente el archivo /.env de check-in.

Para usar el paquete, instale primero el paquete en la aplicación:

pip install python-dotenv

A continuación, cree un archivo en el directorio raíz de la aplicación. Establezca los valores de las variables de entorno con los valores obtenidos del proceso de registro de la aplicación:

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

Por último, en el código de inicio de la aplicación, use la biblioteca para leer las variables de entorno del archivo al iniciar:

from dotenv import load_dotenv

load_dotenv()

En Visual Studio Code, las variables de entorno se pueden establecer en el archivo launch.json de tu proyecto. Estos valores se extraen automáticamente cuando se inicia la aplicación. Sin embargo, estas configuraciones no viajan con la aplicación durante la implementación, por lo que debe configurar variables de entorno en el entorno de hospedaje de destino.

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Python: Current File",
            "type": "debugpy",
            "request": "launch",
            "program": "${file}",
            "console": "integratedTerminal",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

Puede establecer variables de entorno para Windows desde la línea de comandos. Sin embargo, los valores son accesibles para todas las aplicaciones que se ejecutan en ese sistema operativo y podrían causar conflictos, por lo que debe tener cuidado con este enfoque. Las variables de entorno se pueden establecer en el nivel de usuario o sistema.

setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

PowerShell también se puede usar para establecer variables de entorno en el nivel de usuario o sistema:

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

Después de ejecutar estos comandos, reinicie los terminales o aplicaciones abiertos para seleccionar las nuevas variables de entorno.

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

Para que estas variables de entorno sean persistentes en las sesiones de terminal, agregue estas líneas al archivo de perfil de shell (como , o ).